E-Mail-Konten als Angriffsziel: Datenschutzrisiken und Möglichkeiten der Prävention

In unserer Beratungspraxis begegnen uns zunehmend Cyberangriffe auf E-Mail-Konten von Arztpraxen, Apotheken und anderen Einrichtungen des Gesundheitswesens. Die Angriffe sind dabei häufig professionell vorbereitet und für die betroffenen Beschäftigten nur schwer als solche zu erkennen.

Ein Fall aus der Praxis verdeutlicht dies:

Der Inhaber einer Apotheke oder einer Arztpraxis erhält eine E-Mail von seinem Steuerberater. Die Nachricht stammt tatsächlich von dessen E-Mail-Konto und enthält einen Link zu einer vermeintlich geschützten SharePoint-Datei. Die Nutzung von Microsoft SharePoint ist zwischen den Beteiligten nicht ungewöhnlich und auch der konkrete Anlass der Nachricht erscheint plausibel.

Nach dem Aufruf des Links erscheint eine vermeintliche Microsoft-Anmeldeseite. Benutzername und Passwort werden eingegeben. Auch die anschließend über den Microsoft Authenticator angeforderte Zwei-Faktor-Authentifizierung wird durch den Nutzer bestätigt.

Was der Empfänger zu diesem Zeitpunkt nicht weiß: Das E-Mail-Konto des Steuerberaters war zuvor selbst kompromittiert worden. Die Nachricht war Teil eines weiteren Cyberangriffs. Durch die eingegebenen Zugangsdaten und die vom Nutzer selbst bestätigte Zwei-Faktor-Authentifizierung konnten sich die Angreifer anschließend erfolgreich am E-Mail-Konto anmelden.

Der Fall zeigt zugleich eine Grenze klassischer Sicherheitsmaßnahmen: Auch eine Zwei-Faktor-Authentifizierung kann einen Angriff nicht verhindern, wenn der Nutzer aufgrund einer täuschend echt wirkenden Situation dazu veranlasst wird, den zweiten Faktor selbst freizugeben.

Das E-Mail-Konto ist häufig mehr als nur ein Postfach

Der unbefugte Zugriff auf ein dienstliches E-Mail-Konto stellt regelmäßig zugleich eine Verletzung des Schutzes personenbezogener Daten, also eine Datenpanne, dar. Dabei beschränkt sich das Problem nicht nur auf die Frage, ob Angreifer einzelne E-Mails gelesen oder weitere Phishing-Nachrichten versandt haben.

E-Mail-Konten enthalten häufig über Jahre hinweg eine Vielzahl personenbezogener und vertraulicher Informationen. In Arztpraxen, Apotheken und anderen Einrichtungen des Gesundheitswesens können hierzu beispielsweise gehören:

• Namen und Kontaktdaten von Patienten oder Kunden,
• Gesundheits- und Medikationsdaten,
• medizinische Unterlagen oder Befunde,
• Rechnungs- und Abrechnungsinformationen,
• Personalunterlagen,
• Zugangsdaten und Passwörter sowie
• sonstige vertrauliche geschäftliche Korrespondenz.

Hinzu kommt ein weiterer Aspekt: Das E-Mail- beziehungsweise Benutzerkonto dient heute häufig gleichzeitig als Zugang zu weiteren Diensten. Wird beispielsweise ein Microsoft-365-Konto kompromittiert, können – abhängig von der jeweiligen Konfiguration und den vergebenen Berechtigungen – neben Outlook möglicherweise auch Kalender, Kontakte, SharePoint, OneDrive oder andere Anwendungen erreichbar sein. Auch außerhalb des Microsoft-Kosmos können verschiedene Internetdienste erreichbar sein. Im Zweifel können dabei auch Passwörter durch die „Passwort-Zurücksetzten-Funktion“ neu vergeben werden.

Aus einem kompromittierten E-Mail-Konto kann damit schnell der Zugang zu einem deutlich größeren Datenbestand werden.

Besonders sensible Konten verdienen besonderen Schutz

Nicht jedes Benutzerkonto ist hinsichtlich seiner möglichen Auswirkungen gleich zu bewerten. Besonders kritisch können die E-Mail-Konten von Leitungspersonen, Praxisinhabern, Apothekeninhabern oder anderen Beschäftigten mit weitreichenden Aufgaben und Berechtigungen sein. Über diese Konten laufen häufig besonders viele geschäftliche Vorgänge und oftmals auch besonders sensible Informationen

Gleichzeitig verfügen solche Benutzerkonten teilweise über weitergehende Zugriffsrechte auf Dateien, Cloud-Dienste oder interne Systeme. Je umfangreicher die erreichbaren Datenbestände und je sensibler die darin enthaltenen Informationen sind, desto höher sollte deshalb auch das Schutzniveau des jeweiligen Benutzerkontos ausgestaltet werden.

Ein einheitliches Sicherheitsniveau für sämtliche Konten ist daher nicht zwingend ausreichend. Besonders exponierte Benutzerkonten sollten bei der Festlegung technischer und organisatorischer Schutzmaßnahmen gesondert betrachtet werden.

Welche Folgen können sich für Betroffene ergeben?

Nach erfolgreicher Übernahme eines E-Mail-Kontos können Angreifer vorhandene Nachrichten und Dateien gezielt nach verwertbaren Informationen durchsuchen. Denkbar sind unter anderem der Missbrauch von Kontaktdaten, Identitätsdiebstahl, manipulierte Rechnungen, Erpressungsversuche oder weitere Cyberangriffe.

Besonders problematisch ist die Nutzung des kompromittierten Kontos für weitere Phishing-Nachrichten. Die Empfänger erhalten dann eine Nachricht von einer tatsächlich bekannten E-Mail-Adresse und gegebenenfalls sogar innerhalb eines bestehenden geschäftlichen Zusammenhangs.

Genau hierdurch steigt die Glaubwürdigkeit des Folgeangriffs erheblich. Ein kompromittiertes Konto kann damit nicht nur den ursprünglichen Verantwortlichen betreffen, sondern zugleich zum Ausgangspunkt weiterer Angriffe auf Geschäftspartner, Patienten, Beschäftigte oder andere Kontakte werden.

Auch datenschutzrechtlich sind die Folgen regelmäßig erheblich

Nach einem erfolgreichen unbefugten Zugriff muss geprüft werden, welche Personen und welche personenbezogenen Daten betroffen sind. Bei einem über Jahre genutzten E-Mail-Postfach kann allein diese Feststellung bereits erheblichen Aufwand verursachen. Unter Umständen müssen eine große Zahl von Nachrichten, Anhängen und gegebenenfalls weitere über das Benutzerkonto erreichbare Datenbestände ausgewertet werden.

Eine Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO dürfte bei einem tatsächlich kompromittierten E-Mail-Konto die Regel sein. Darüber hinaus ist häufig zu prüfen, ob auch die betroffenen Personen nach Art. 34 DSGVO unmittelbar über den Vorfall informiert werden müssen.

Gerade bei Cyberangriffen durch kriminelle Akteure kann ein hohes Risiko für die betroffenen Personen schnell erreicht sein. Dies gilt insbesondere bei Gesundheitsdaten, Zugangsdaten oder anderen sensiblen Informationen, aber auch dann, wenn die erlangten Kontakt- und Kommunikationsdaten für glaubwürdige Folgeangriffe eingesetzt werden können.

Die Datenschutzaufsichtsbehörden weisen insoweit ausdrücklich darauf hin, dass bei personenbezogenen Daten, die Kriminellen zugänglich geworden sind oder bei denen ein entsprechender Zugriff nicht ausgeschlossen werden kann, regelmäßig von einem hohen Risiko auszugehen sein kann. Für die Beurteilung kommt es zudem nicht erst darauf an, dass ein konkreter Datenabfluss nachgewiesen wurde.

Welche Schutzmaßnahmen empfehlen die Datenschutzaufsichtsbehörden?

Gerade bei über das Internet erreichbaren E-Mail- und Cloud-Diensten sollte die Absicherung deshalb nicht allein auf Benutzername, Passwort und eine klassische Zwei-Faktor-Authentifizierung beschränkt werden.

Die Datenschutzaufsicht nennt insbesondere folgende Maßnahmen:

• Sichere Authentifizierungsverfahren wie Passkeys: Moderne Verfahren wie FIDO2 beziehungsweise Passkeys können klassische passwortbasierte Anmeldungen ergänzen oder ersetzen und bieten einen verbesserten Schutz gegenüber Phishing-Angriffen.
• Zugriff nur von ausdrücklich freigegebenen Geräten: E-Mail- und Cloud-Dienste können technisch so abgesichert werden, dass ein Zugriff ausschließlich von autorisierten beziehungsweise verwalteten Geräten möglich ist.
• Absicherung der Gerätezugriffe beispielsweise über Zertifikate: Technische Mechanismen können sicherstellen, dass die Kenntnis von Benutzername und Passwort allein nicht genügt, um von einem beliebigen Gerät auf das Benutzerkonto zuzugreifen.
• Echte Ende-zu-Ende-Verschlüsselung für besonders schutzwürdige Kommunikation: Hierdurch soll verhindert werden, dass Inhalte allein aufgrund eines erfolgreichen Zugriffs auf den Cloud-Dienst im Klartext zugänglich werden.
• Digitale Signaturen: Diese können dazu beitragen, die Echtheit und Unverändertheit von Nachrichten zu überprüfen.
• Beschränkung auf geschützte Netzwerke: Soweit organisatorisch möglich, können Zugriffe auf besonders sensible Dienste auf interne beziehungsweise abgesicherte Netze beschränkt werden.
• Beschränkung von Zugriffen aus nicht benötigten Ländern: Anmeldungen aus Staaten, aus denen im normalen Betrieb kein Zugriff erforderlich ist, können technisch unterbunden werden.
• Sichere und einmalig verwendete Passwörter: Passwörter sollten ausreichend sicher sein und insbesondere nicht für mehrere Benutzerkonten wiederverwendet werden.
• Regelmäßige Schulung der Beschäftigten: Phishing und Social Engineering müssen regelmäßig Gegenstand der Mitarbeitersensibilisierung sein. Dies gilt nach Auffassung der Datenschutzaufsicht ausdrücklich auch für Leitungspersonen.

Die Aufsichtsbehörde hebt hervor, dass regelmäßig eine Kombination mehrerer Maßnahmen erforderlich und sinnvoll ist. Gerade bei besonders sensiblen oder weitreichend berechtigten Benutzerkonten sollte geprüft werden, ob zusätzliche Zugriffsbeschränkungen eingerichtet werden können.

Technische Maßnahmen ersetzen die Sensibilisierung nicht

Der geschilderte Fall zeigt zugleich, dass technische Schutzmaßnahmen allein nicht ausreichen. Eine Nachricht, die tatsächlich von einem bekannten Geschäftspartner stammt und sich in einen plausiblen betrieblichen Vorgang einfügt, ist erheblich schwerer als Phishing zu erkennen als die klassische offensichtlich gefälschte E-Mail.

Beschäftigte sollten deshalb insbesondere dafür sensibilisiert werden, auch bei bekannten Absendern vorsichtig zu sein, wenn über einen Link erneut Zugangsdaten oder eine Authentifizierungsbestätigung verlangt werden. Im Zweifel sollte der jeweilige Dienst nicht über den zugesandten Link, sondern über den bekannten direkten Zugang geöffnet werden. Bei ungewöhnlichen oder unerwarteten Anforderungen kann zusätzlich eine kurze Rückfrage beim vermeintlichen Absender über einen anderen Kommunikationsweg sinnvoll sein.

Fazit

Die Kompromittierung eines E-Mail-Kontos kann weitreichende Folgen haben. Sie betrifft nicht nur die im Postfach gespeicherten Nachrichten, sondern kann je nach eingesetzter IT-Umgebung zugleich den Zugriff auf weitere Dienste und Datenbestände ermöglichen. Besonders kritisch sind Konten, über die umfangreiche oder sensible Informationen verarbeitet werden oder die mit weitreichenden Berechtigungen ausgestattet sind.

Der Schutz solcher Benutzerkonten sollte deshalb nicht auf eine einzelne technische Maßnahme reduziert werden. Sichere Authentifizierungsverfahren, Beschränkungen von Geräten und Zugriffsorten, eine angemessene Rechtevergabe sowie die regelmäßige Sensibilisierung der Beschäftigten müssen ineinandergreifen.

Gerade im Gesundheitswesen kann dadurch nicht nur das eigene E-Mail-Konto geschützt werden. Ebenso wichtig ist, zu verhindern, dass ein kompromittiertes Konto zum Ausgangspunkt für weitere Angriffe auf Patienten, Beschäftigte und Geschäftspartner wird.